Confidentialité

Le responsable du traitement de vos données personnelles est Pedro Pujol Garrido, personne physique, domicilié en Espagne et joignable à l’adresse help@garashe.com. Garashe est un service numérique de suivi de portefeuille de véhicules exploité par le responsable en qualité de prestataire de services de la société de l’information (LSSI-CE).

Données de compte

Lorsque vous vous inscrivez et utilisez votre compte, nous traitons :

• E-mail et mot de passe (le mot de passe est stocké haché, jamais en clair).

• Nom d’utilisateur, avatar, bannière, courte biographie, marques favorites et réglages de confidentialité que vous choisissez.

• Langue préférée, pays de marché, devise, unités et seuil des alertes de prix.

Si vous vous inscrivez avec Google (OAuth), nous recevons de Google : votre e-mail, votre nom, votre photo de profil et un identifiant interne. Ce que Google partage avec nous est également régi par la politique de confidentialité de Google.

Données de vos véhicules

Lorsque vous ajoutez une voiture à votre garage, nous enregistrons :

• Numéro de châssis (VIN) lorsque vous le fournissez, marque, modèle, année, kilométrage, prix d’achat, date et état du véhicule.

• Photographies que vous téléversez.

• Informations de vérification du VIN si vous choisissez de le valider.

Le VIN est décodé afin d’identifier la marque, le modèle et l’année du véhicule. Ce décodage s’effectue auprès de sources externes : en premier lieu, la base publique de la NHTSA (organisme américain, gratuit) et, en solution de repli, Vincario (service payant, établi dans l’Union européenne). Pris isolément, le VIN n’est en général pas une donnée personnelle en Espagne, mais combiné à votre compte, à vos photos ou à votre localisation, il peut le devenir ; nous le traitons donc avec la même diligence que le reste de vos données.

Messages que vous nous envoyez

Lorsque vous nous écrivez via le formulaire d’aide (/help), nous collectons votre nom, votre e-mail et le contenu du message. Le contenu du message, accompagné de votre nom et de votre e-mail, est envoyé à Anthropic (fournisseur d’IA) pour être classé automatiquement par priorité (urgent, important, normal ou spam). Le résultat de la classification et la justification générée par l’IA sont conservés dans notre base de données avec le message d’origine. Voir la section 7 (Traitements par intelligence artificielle) pour plus de détails.

Données d’abonnement et de paiement

Si vous souscrivez au plan Premium, le paiement est géré par Stripe (Stripe, Inc.) en tant que passerelle de paiement. À cette fin, nous traitons :

• Un identifiant client Stripe associé à votre compte, l’état de votre abonnement (en période d’essai, actif, résilié), le plan choisi (mensuel ou annuel) et les dates de début, de renouvellement et de fin de période.

• Les données de facturation que vous saisissez directement sur la page de paiement hébergée par Stripe (nom, pays et, le cas échéant, informations fiscales pour le calcul de la TVA).

Nous ne stockons pas les données de votre carte. Le numéro de carte et les données de paiement sont saisis et conservés dans l’infrastructure de Stripe, certifiée selon la norme PCI-DSS ; Garashe ne les voit ni ne les conserve jamais. La base légale de ce traitement est l’exécution du contrat d’abonnement (Art. 6.1.b RGPD). Voir la section 8 (sous-traitants) pour le détail du transfert international.

Données techniques et d’utilisation

• Votre adresse IP lorsque vous interagissez avec le service. Nous l’utilisons pour appliquer des limites de fréquence (rate limits) sur des actions sensibles comme le décodage de VIN ou l’envoi de messages, et nous la conservons avec le message du formulaire d’aide comme preuve technique en cas d’abus.

• Cookies strictement nécessaires (voir section 10).

• Données d’utilisation agrégées collectées par Vercel Analytics et Vercel Speed Insights, sans cookies de suivi ni identifiants personnels (voir section 8).

• Date et version du consentement que vous avez donné lors de votre inscription.

Ce que nous ne faisons PAS

Nous n’utilisons pas de cookies publicitaires ni de suivi. Nous ne vendons pas vos données à des tiers. Nous ne les partageons pas avec des réseaux sociaux à des fins publicitaires. Nous ne vous envoyons ni newsletters ni publicité de tiers. Les seuls e-mails que vous recevez sont opérationnels (bienvenue, récupération de mot de passe, confirmation d’e-mail, gestion de votre abonnement Premium, alertes de prix que vous activez, et réponses humaines à votre correspondance avec help@garashe.com). Si vous vous êtes inscrit volontairement à la liste de lancement, vous recevrez en outre l’avis d’ouverture que vous avez expressément accepté en nous laissant votre e-mail ; vous pouvez vous désinscrire à tout moment en répondant à ce message.

Nous traitons vos données sur la base des fondements juridiques suivants du RGPD (Art. 6) :

• Exécution du contrat(Art. 6.1.b) : pour vous fournir le service auquel vous avez souscrit en vous inscrivant.
• Consentement(Art. 6.1.a) : pour des actions spécifiques comme l’acceptation de cette politique et des conditions générales lors de l’inscription.
• Intérêt légitime(Art. 6.1.f) : pour garantir la sécurité du service, prévenir les abus et la fraude, et classer par priorité les messages reçus via /help.
• Obligation légale(Art. 6.1.c) : lorsqu’une norme nous impose de conserver ou de remettre des informations (par exemple, en cas de réquisition judiciaire).

Données de votre compte et de vos véhiculesTant que votre compte est actif, nous conservons vos données afin de pouvoir vous fournir le service. Lorsque vous demandez la suppression de votre compte :

• Votre compte entre dans une période de grâce de 30 jours. Pendant ces 30 jours, votre profil cesse d’être visible publiquement, mais les données continuent d’exister dans notre base de données.

• Si, pendant ces 30 jours, vous nous écrivez à help@garashe.com pour demander l’annulation de la suppression, nous pouvons restaurer votre compte.

• Passé ce délai de 30 jours, nous procédons à l’effacement physique définitif : votre profil, vos véhicules, l’historique des estimations, vos photographies, vos préférences et le compte d’authentification sont supprimés de manière irréversible.

Messages du formulaire d’aideLes messages que vous nous envoyez via /help sont conservés pendant une durée maximale de 24 mois à compter de leur réception, avec leur classification automatique et le raisonnement de l’IA. Vous pouvez demander la suppression anticipée de vos messages en nous écrivant à help@garashe.com, en indiquant une référence raisonnable (par exemple, l’adresse e-mail avec laquelle vous les avez envoyés).

Données de facturation et d’abonnementLes données associées à votre abonnement Premium et aux paiements (factures, identifiant client Stripe, montants et dates) sont conservées pendant la durée exigée par la réglementation fiscale et commerciale espagnole applicable (en règle générale, jusqu’à 6 ans), même si vous supprimez votre compte avant, car elles répondent à une obligation légale indépendante (Art. 6.1.c RGPD). Stripe conserve pour sa part les données de paiement conformément à ses propres politiques.

Sauvegardes et journaux techniquesLes sauvegardes de routine de nos prestataires peuvent retenir vos données quelques jours supplémentaires jusqu’au cycle de purge suivant ; elles ne sont utilisées que pour la récupération en cas d’incident. Les journaux d’IP liés aux limites de fréquence sont conservés pendant un maximum de 90 jours.

Obligations légalesNous conservons séparément, et pendant la durée légalement exigée, les données minimales nécessaires au respect de nos obligations légales.

En tant que titulaire des données personnelles, vous disposez des droits reconnus par le RGPD (Arts. 15 à 22) :

• Accès et portabilité(Arts. 15 et 20) : vous pouvez télécharger toutes vos données au format JSON depuis Paramètres → Confidentialité et données → Télécharger mes données.
• Rectification(Art. 16) : vous pouvez modifier votre profil, vos réglages et les données de vos véhicules depuis l’application elle-même. Pour les modifications que l’interface ne permet pas, écrivez-nous.
• Effacement / droit à l’oubli(Art. 17) : vous pouvez supprimer votre compte depuis Paramètres → Confidentialité et données → Supprimer mon compte. La période de grâce de 30 jours décrite à la section précédente s’appliquera.
• Limitation du traitement(Art. 18) : vous pouvez nous demander de suspendre le traitement de certaines données.
• Opposition(Art. 21) : vous pouvez vous opposer aux traitements fondés sur l’intérêt légitime, y compris la classification automatique de vos messages de support.
• Décisions automatisées et révision humaine(Art. 22) : la classification automatique des messages que vous nous envoyez via /help peut influer sur la priorité avec laquelle nous répondons, et même sur le fait qu’ils soient examinés ou non (dans le cas des messages classés comme spam). Vous avez le droit de demander une révision humaine, d’exprimer votre point de vue et de contester la classification. Pour l’exercer, il suffit de nous écrire à help@garashe.com en mentionnant l’envoi d’origine. Les estimations de marché des véhicules sont également des calculs automatisés, mais elles sont fournies à titre informatif et ne produisent pas d’effets juridiques à votre égard (voir section 6).

Pour exercer l’un quelconque de ces droits, vous pouvez utiliser les outils intégrés à l’application ou nous écrire à help@garashe.com. Nous répondrons dans un délai maximal d’ un mois à compter de la demande.

Garashe affiche, pour de nombreux véhicules, une valeur de marché estimée. Il est important de comprendre ce que ce chiffre est, et ce qu’il n’est pas :

• C’est une estimation algorithmique calculée à partir d’annonces publiques de vente de véhicules comparables au vôtre.

• Pour la calculer, nous nous appuyons sur de nombreuses sources publiques de marché : résultats d’enchères, annonces de vente et données de spécialistes. Nous recoupons chaque chiffre auprès de nombreuses sources différentes pour qu’il soit aussi fiable que possible, et nous le révisons périodiquement.

• Nous appliquons des filtres et des ajustements statistiques afin de proposer une fourchette de confiance, et non un prix unique.

• Ce n’est pas une expertise officielle. Elle ne remplace pas le jugement professionnel d’un expert, d’un évaluateur, d’un vendeur ou d’un concessionnaire. Vous ne devez pas fonder des décisions d’achat, de vente, d’assurance ou de financement uniquement sur ce chiffre.

• Nous déclinons toute responsabilité quant aux conséquences économiques découlant de l’utilisation de ces estimations comme référence unique pour une transaction.

Si vous souhaitez mieux comprendre comment elle est calculée, vous pouvez nous écrire à help@garashe.com.

Nous utilisons des modèles d’intelligence artificielle fournis par Anthropic (Anthropic, PBC, États-Unis) pour quatre tâches spécifiques. Les requêtes transitent par l’API d’Anthropic dans le cadre d’un contrat commercial : les entrées ne sont pas utilisées pour entraîner ses modèles et sont conservées jusqu’à 30 jours à des fins de détection des abus, conformément aux conditions de service en vigueur.

• Classification des messages du formulaire d’aide. Lorsque vous nous écrivez via /help, nous envoyons votre nom, votre e-mail et le contenu de votre message au modèle d’Anthropic afin de lui attribuer une priorité automatique (urgent, important, normal ou spam). Le résultat et la justification générés par l’IA sont enregistrés dans notre base de données avec le message d’origine. Base légale : intérêt légitime (Art. 6.1.f RGPD) à gérer le support de manière efficace. Votre droit à une révision humaine est décrit à la section 5.
• Résumé hebdomadaire pour le responsable. Une fois par semaine, un processus automatisé envoie à Anthropic les messages du formulaire d’aide reçus au cours des sept derniers jours (y compris noms, e-mails et contenus) afin de générer un résumé destiné au responsable. Cela implique que des données de plusieurs utilisateurs peuvent être traitées dans une même requête à des fins d’administration interne. Base légale : intérêt légitime à superviser l’activité du service.
• Informations historiques sur les modèles de véhicules. Lorsque vous consultez la fiche d’une voiture ou d’une génération, nous pouvons envoyer à Anthropic la marque, le modèle et l’année (informations publiques du véhicule) afin de générer un bref résumé historique. Aucune donnée personnelle n’est envoyée dans cette opération.
• Concierge (assistant conversationnel Premium). Si vous utilisez le Concierge (fonctionnalité Premium), vos requêtes et les données de votre propre garage (identification de vos voitures, estimations, kilométrage et prix d’achat ou de vente ; jamais vos notes ni votre VIN) sont envoyées à Anthropic pour générer les réponses. Le Concierge n’accède qu’à vos propres informations et au catalogue public, jamais aux données d’autres utilisateurs, et nous ne conservons pas l’historique de la conversation. Base légale : exécution du contrat d’abonnement Premium (Art. 6.1.b RGPD).

Nous n’utilisons pas de services d’IA d’OpenAI ni d’aucun autre fournisseur en production. Si nous intégrons à l’avenir d’autres fournisseurs ou d’autres flux, nous mettrons à jour cette politique.

Pour vous fournir le service, nous travaillons avec les sous-traitants suivants. Tous sont liés par des contrats de traitement des données (Art. 28 RGPD) et, lorsqu’ils traitent des données en dehors de l’Espace économique européen, ils le font sur le fondement des clauses contractuelles types de la Commission européenne (CCT) :

• Supabase. Supabase Inc., États-Unis, avec des données hébergées sur une infrastructure européenne : authentification, base de données relationnelle et stockage des images.
• Vercel. Vercel Inc., États-Unis, sous CCT : hébergement du frontend, distribution de contenu, Vercel Analytics (mesure d’audience agrégée sans cookies de suivi) et Vercel Speed Insights (métriques de performance).
• Stripe. Stripe, Inc., États-Unis, sous CCT : passerelle de paiement qui traite les prélèvements de l’abonnement Premium et conserve les données de carte selon la norme PCI-DSS. Elle reçoit votre e-mail, vos données de facturation et l’identifiant de l’abonnement ; Garashe ne stocke pas les données de votre carte. Stripe agit en outre comme responsable de traitement indépendant pour la prévention de la fraude et le respect de ses obligations financières.
• Resend. Resend, Inc., États-Unis, sous CCT : envoi de tous les e-mails transactionnels (inscription, récupération de mot de passe, confirmation d’e-mail, alertes de prix que vous activez, et remise des messages du formulaire d’aide à la boîte administrative). Resend est configuré comme fournisseur SMTP de Supabase Auth, il couvre donc aussi les e-mails générés par la couche d’authentification.
• Zoho Mail. Zoho Corporation, Inde / États-Unis, sous CCT : boîte e-mail humaine de help@garashe.com où arrivent les messages du formulaire d’aide et depuis laquelle le responsable répond manuellement.
• Anthropic. Anthropic, PBC, États-Unis, sous CCT : modèles d’intelligence artificielle utilisés pour les tâches décrites à la section 7.
• Apify. Apify Technologies s.r.o., République tchèque, UE : exécute pour notre compte la collecte automatisée d’annonces publiques depuis AutoScout24. Il n’accède pas aux données personnelles de nos utilisateurs, mais nous déclarons son rôle de sous-traitant pour les requêtes qu’il exécute au nom de Garashe.
• Vincario. Lituanie, UE : décodage optionnel du VIN lorsque vous ajoutez un véhicule, afin d’en identifier la marque, le modèle et l’année.

Si nous ajoutons ou remplaçons des prestataires à l’avenir, nous mettrons à jour cette liste.

Pour enrichir le service, nous consultons plusieurs sources publiques qui ne traitent aucune de vos données personnelles, mais des informations publiquement disponibles. Nous les mentionnons par souci de transparence :

• AutoScout24 : annonces publiques de vente de véhicules, utilisées comme base pour les estimations de marché (section 6).

• NHTSA (National Highway Traffic Safety Administration, États-Unis) : décodage public des numéros VIN.

• API Ninjas et Car2DB : catalogues publics de modèles de véhicules et de spécifications techniques.

• Frankfurter API : taux de change publiés par la Banque centrale européenne.

Aucune de ces sources ne reçoit de données personnelles de nos utilisateurs.

Garashe utilise uniquement des cookies strictement nécessaires au fonctionnement du service :

• NEXT_LOCALE : mémorise la langue que vous avez choisie.

• Cookies de session de Supabase (sb-*) : maintiennent votre session ouverte.

Vercel Analytics et Vercel Speed Insights, que nous utilisons pour connaître l’utilisation agrégée du service et ses performances, n’utilisent pas de cookies de suivi et ne permettent pas de vous identifier personnellement.

Nous n’utilisons pas de cookies publicitaires, de réseaux sociaux ni de tiers à des fins de suivi. C’est pourquoi nous n’affichons pas de bandeau cookies : l’autorité espagnole de protection des données (AEPD) permet d’opérer sans bandeau lorsque tous les cookies sont strictement nécessaires à la fourniture du service demandé par l’utilisateur.

Si un jour nous ajoutons des cookies ou des technologies non essentielles (mesure d’audience avec suivi, pixel publicitaire, etc.), nous mettrons d’abord en place un système de gestion du consentement conforme. Vous pouvez consulter la page dédiée aux cookies sur /cookies pour plus de détails.

Nous appliquons des mesures techniques et organisationnelles raisonnables pour protéger vos données :

• Communications chiffrées via HTTPS sur l’ensemble du service.

• Mots de passe stockés avec des fonctions de hachage modernes (jamais en clair).

• Accès à la base de données restreint par des règles de sécurité au niveau des lignes (Row Level Security).

• Accès administratif limité au responsable du traitement.

• Limites de fréquence (rate limits) par adresse IP sur les points d’accès sensibles pour prévenir les abus.

Aucune mesure de sécurité n’est parfaite. Si vous détectez un problème ou une vulnérabilité, écrivez-nous à help@garashe.com.

Garashe ne s’adresse pas aux personnes de moins de 16 ans, conformément aux dispositions de la législation espagnole sur le consentement numérique des mineurs. Si vous avez moins de 16 ans, vous ne devez pas vous inscrire ni fournir de données personnelles via le service. Si nous découvrons qu’un compte a été créé par un mineur de moins de 16 ans sans le consentement de ses représentants légaux, nous procéderons à sa suppression.

Si nous modifions cette politique de manière substantielle, nous vous en informerons par e-mail à l’adresse avec laquelle vous êtes inscrit et, le cas échéant, nous vous demanderons une nouvelle acceptation. Les modifications mineures (rédaction, clarifications, mise à jour de la liste des prestataires) seront publiées directement sur cette page, avec mise à jour de la date de "dernière mise à jour".

Cette politique est régie par la législation espagnole et celle de l’Union européenne : le Règlement général sur la protection des données (RGPD), la loi organique espagnole 3/2018 de protection des données personnelles et de garantie des droits numériques (LOPDGDD) et la loi espagnole 34/2002 sur les services de la société de l’information et le commerce électronique (LSSI-CE).